Predict.fun, un marché de prédiction sur BNB Chain, a indiqué le mardi 27 octobre qu’environ 400 000 USDT avaient quitté sans autorisation un petit nombre de portefeuilles d’utilisateurs, et promet de rembourser intégralement chaque personne touchée. Le communiqué, publié sur le compte X officiel de la plateforme et repris par crypto.news, TechFlow et PANews, évoque une possible compromission du site de documentation de son API, hébergé par un prestataire extérieur. Les pisteurs indépendants ne comptent pas la même chose : Naeven, cité par Protos, a relevé 19 victimes et 105 ETH, soit environ 260 000 $ selon son estimation.
Les chiffres ne concordent pas, et personne n’explique pourquoi. Predict.fun n’a pas dit comment un site de documentation pourrait vider les portefeuilles de ses utilisateurs. Un rapport détaillé suivra la fin de l’enquête, assure la plateforme.
Ce que Predict.fun a déclaré sur les 400 000 USDT
TechFlow a relayé le communiqué à 14 h 56 UTC et PANews l’a publié à peu près au même moment : smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il était donc en ligne dès le milieu de l’après-midi en Europe. La plateforme n’a pas indiqué à quelle heure les vols ont commencé ni quand ils se sont arrêtés.
Tel que les médias le rapportent, le communiqué porte sur la perte, la cause supposée et la suite. Environ 400 000 USDT ont quitté sans autorisation un petit nombre de portefeuilles d’utilisateurs. Une enquête préliminaire laisse penser que le site de documentation de l’API, géré par un hébergeur extérieur, a pu être compromis pendant une courte période. Ce site est hors ligne et le restera jusqu’à la fin de l’enquête, sans date de retour annoncée. Un rapport d’analyse et les mesures censées empêcher que cela se reproduise viendront plus tard.
Sur les remboursements, crypto.news cite la plateforme mot pour mot : elle « remboursera intégralement tous les utilisateurs concernés pour les fonds perdus en conséquence directe de cet incident » (« fully reimburse all affected users for any funds lost as a direct result of this incident »). Aucun délai, aucune procédure de réclamation, et rien ne dit si les remboursements seront versés en USDT. The Defiant a fait de la même promesse son titre principal.
Le prestataire qui héberge la documentation n’est pas nommé. Le communiqué ne précise pas non plus sur quelle blockchain se trouvaient les USDT dérobés, alors que la plateforme elle-même tourne sur BNB Chain.
Ce qu’ont compté les pisteurs : 19 victimes et 105 ETH
L’alerte a précédé la plateforme. À 12 h 04 UTC, TechFlow a relayé un message du compte d’analyse on-chain Onchain Lens : environ 300 000 $ avaient quitté plusieurs contrats Predict Fun par des portefeuilles intermédiaires vers Relay, un service inter-chaînes, puis auraient été envoyés vers Tornado Cash. FinanceFeeds, qui rapportait la même alerte, a insisté sur le fait que ce chiffre était une estimation et que l’alerte n’identifiait aucun contrat vulnérable.
Des utilisateurs ont aussi pris la parole. Un analyste qui publie sous le nom de Dethective a affirmé le 27 octobre avoir perdu environ 5 000 $. « Je pense qu’il se passe quelque chose d’anormal avec Predict Fun et je ne suis pas la seule victime », a-t-il écrit, selon Protos.
Naeven a ensuite suivi l’argent. Il a dénombré 19 victimes et un total de 105 ETH, qu’il valorise à environ 260 000 $. D’après lui, les fonds ont été transférés vers Ethereum par un pont, puis envoyés à Tornado Cash, le mixeur qui sert à rompre le lien entre dépôts et retraits. « Il y a probablement d’autres victimes », a-t-il écrit, en conseillant aux utilisateurs de sortir de la plateforme les fonds qui y restent. Protos dit avoir sollicité Predict.fun et n’avait pas reçu de réponse au moment de la publication.
Les mixeurs reviennent sans cesse après les vols. La semaine dernière, le portefeuille à l’origine de l’exploit de Drift a fait transiter environ 25 700 ETH par ce même service, comme nous l’avons raconté dans notre article sur le transfert de l’auteur de l’exploit de Drift vers Tornado Cash.
Trois chiffres pour le piratage de Predict.fun, aucun rapprochement
Les lecteurs verront des montants différents selon les médias. Chacun vient d’une source distincte, et aucune ne dit comment ils s’articulent.
| Chiffre | Source | Ce qu’il recouvre |
|---|---|---|
| Environ 400 000 USDT | Communiqué de Predict.fun, 27 oct., via crypto.news, TechFlow, PANews | Fonds sortis sans autorisation d’un petit nombre de portefeuilles d’utilisateurs |
| Environ 300 000 $ | Alerte d’Onchain Lens, via TechFlow (12 h 04 UTC) et FinanceFeeds, 27 oct. | Fonds sortis des contrats Predict Fun vers Relay, puis, selon l’alerte, vers Tornado Cash ; une estimation |
| 105 ETH, environ 260 000 $ | Pisteur Naeven, via Protos, 27 oct. | Pertes retracées sur 19 victimes ; fonds passés par un pont vers Ethereum, puis vers Tornado Cash |
| Environ 5 000 $ | Analyste Dethective, via Protos, 27 oct. | La perte d’un seul utilisateur |
L’écart entre 400 000 USDT et 105 ETH reste inexpliqué. Aucune des deux sources ne dit si les décomptes portent sur les mêmes portefeuilles ni sur les mêmes heures, et nous n’avons aucun moyen de les réconcilier. Les descriptions du calendrier divergent aussi : Naeven juge l’incident probablement toujours en cours, alors que la plateforme parle d’une courte période. Tant que Predict.fun n’a pas publié son rapport ou que personne ne partage les adresses concernées, la question reste ouverte.
Pour situer l’ordre de grandeur, DefiLlama affichait environ 13,71 millions de dollars bloqués dans Predict.fun le 23 octobre, presque tout sur BNB Chain, selon FinanceFeeds. Le média chiffre l’estimation de 300 000 $ à environ 2,2 % de ce montant.
Nous n’avons trouvé aucune alerte des sociétés de sécurité qui signalent d’ordinaire ce genre de ponctions, comme PeckShield, Cyvers ou SlowMist, et aucune source n’a publié d’adresses d’attaquant ni de hachages de transactions. Cet article n’en cite aucun.
Comment un site de documentation peut-il vider des portefeuilles ?
Le communiqué laisse la question ouverte. Un site de documentation explique comment utiliser une API ; il ne détient normalement pas de clés et ne déplace pas de fonds. Predict.fun dit seulement que le site a pu être compromis et ne décrit pas le chemin entre ce site et les USDT des utilisateurs.
Certains articles ont décrit l’attaque comme de l’hameçonnage via une interface compromise. Aucune source que nous avons pu lire ne le confirme, et crypto.news relève que le communiqué ne dit pas comment l’attaquant a eu accès aux fonds. Ce que l’on sait relève du général : une attaque sur du code que le site charge depuis des fournisseurs extérieurs peut pousser les utilisateurs à signer des autorisations ou des transferts qu’ils ne voulaient pas, sans la moindre faille dans les contrats intelligents. Que ce soit le cas ici n’est pas établi.
L’API compte pour le contexte. Selon crypto.news, Predict.fun a lancé le 1er septembre un tableau de bord pour développeurs, où l’on crée des applications et génère ou importe des clés d’API ; la documentation antérieure décrivait des points d’accès pour passer et annuler des ordres, consulter les données de marché, les positions et l’activité des comptes. Les utilisateurs de robots de trading sont les plus susceptibles de consulter cette documentation. C’est une raison d’attendre le rapport d’analyse, pas la preuve de la voie empruntée par l’attaquant.
Le même jour, SlowMist a décrit un cas différent de script tiers falsifié, un widget de discussion qui remplaçait des adresses de dépôt crypto, que nous avons traité dans notre article sur l’attaque du script Udesk. Pour savoir où se produisent le plus souvent les piratages, lisez notre guide pour savoir si une blockchain peut être piratée.
Qui est derrière Predict.fun
Protos présente Predict.fun comme un marché façon Polymarket pour l’écosystème Binance, fondé par d’anciens salariés de Binance. Changpeng Zhao a écrit sur X qu’il avait été incubé et financé par YZI Labs, l’ancien Binance Labs. DefiLlama enregistre pour 2026 des revenus d’un peu plus de 9 millions de dollars, d’après le même article.
Selon crypto.news, les marchés de Predict.fun sont devenus accessibles dans l’application Binance via Binance Wallet en avril. Un investissement complémentaire de YZI Labs, associé à Susquehanna Crypto, a été annoncé le même mois ; des chiffres communiqués le 2 avril situaient le volume cumulé au-delà de 1,8 milliard de dollars depuis le lancement de décembre 2025. Certains marchés placent aussi leur collatéral en USDT dans Venus Protocol pour en tirer un rendement.
L’incident survient alors que les marchés de prédiction attirent une attention record ; les seuls contrats sur le bitcoin ont atteint 2,7 milliards de dollars en une semaine sur Kalshi et Polymarket, selon notre point sur le volume des marchés de prédiction crypto.
Le précédent de Polymarket en juin 2026
Le cas antérieur le plus proche est celui de Polymarket. Le 25 juin 2026, la plateforme a confirmé qu’un prestataire tiers compromis avait servi à injecter du code malveillant dans son site, servi à une partie des utilisateurs, selon The Next Web. Ses contrats intelligents n’ont pas été exploités. PeckShield a estimé à environ 3 millions de dollars les sommes siphonnées sur plus de 11 victimes ; les PUSD volés ont été transférés de Polygon vers Ethereum et convertis en environ 1 893 ETH. Polymarket a dit avoir retiré la dépendance en cause et rembourser intégralement les victimes.
Sur le papier, les deux affaires se ressemblent : un prestataire extérieur, un petit groupe de victimes, des fonds déplacés vers Ethereum et une promesse de remboursement total. La différence tient au détail. Le cas de Polymarket s’accompagnait d’un mécanisme décrit, un script injecté dans son site. Predict.fun, jusqu’ici, n’a désigné que le site qu’elle soupçonne.
Remboursements et rapport d’analyse : la suite
Le processus de remboursement est le point ouvert le plus pressant pour les victimes : qui est éligible au titre de la « conséquence directe de cet incident », quand les paiements arrivent et dans quel actif. Aucune déclaration ultérieure sur le sujet n’était parue dans la soirée du 27 octobre.
Le rapport d’analyse devrait expliquer le mécanisme et fournir un décompte final qu’on pourra confronter aux 19 victimes et 105 ETH de Naeven, ainsi qu’aux 300 000 $ d’Onchain Lens. Le site de documentation reste fermé d’ici là, sans date de réouverture.
Les utilisateurs qui ont connecté un portefeuille à Predict.fun, ou utilisé son API, peuvent suivre le compte officiel de la plateforme pour connaître les modalités de remboursement. Le conseil de Naeven de retirer les fonds restants était le sien ; le communiqué de la plateforme, tel qu’il a été relayé, ne le reprenait pas. Aucune source ne dit si des utilisateurs en France ou dans la zone euro figurent parmi les victimes, et nous n’avons trouvé aucune réaction de l’AMF.